Settimana 11: Quando i truffatori cercano di ingannare le aziende e addirittura l’UFCS
L’UFCS riceve un numero crescente di segnalazioni da parte di aziende che ricevono fatture sospette. A ogni messaggio è allegato un file ZIP, che a sua volta contiene un file HTML. A prima vista, la fattura non dà nell’occhio: Nessun link, nessuna anomalia, nessun sospetto di malware. Ma l’apparenza inganna: La retrospettiva di questa settimana svela l’impressionante impegno profuso dai criminali per mascherare i loro attacchi e ispirare fiducia.
Nelle ultime settimane, numerose aziende hanno ricevuto fatture insolite che non sono chiaramente riconducibili a un ordine. Le e-mail in questione si riferiscono ciascuna a un presunto numero di fattura, a sua volta allegata all’e-mail. In realtà, l’allegato contiene un file ZIP contenente un singolo file HTML.
Decomprimendo il file ZIP e aprendo il relativo file HTML in molti casi appare solo una cronologia di conversazione dall’aspetto innocuo o un breve estratto di testo di una vecchia corrispondenza. A prima vista, non c’è nulla di sospetto: Non ci sono né link cliccabili né file evidenti, quindi è facile supporre che si tratti semplicemente di un’e-mail incorretta o inviata per sbaglio.
In realtà, l’e-mail è innocua solo a prima vista. Un’analisi più approfondita del codice sorgente mostra che in background viene stabilita, senza essere notata, una connessione a un sito web esterno contenente JavaScript, che non viene però sempre eseguito. I criminali verificano innanzitutto diverse condizioni, come il sistema operativo utilizzato, ed eseguono il contenuto dannoso solo se vengono soddisfatti determinati criteri.
Esiste anche un’altra tattica di occultamento: Lo script è disponibile solo per un numero limitato di accessi. Solo le prime interrogazioni contengono il codice dannoso. Questo approccio rende molto più difficile l’analisi della situazione per le aziende e le autorità che si occupano di cibersicurezza, tra cui l’UFCS. Se non viene eseguito alcun malware, non è facile riconoscere immediatamente l’operato dei malintenzionati bloccando senza indugi il sito in questione. Questi metodi vengono ripetutamente utilizzati dagli aggressori per eludere i meccanismi di rilevamento e di difesa.
Come si svolge l’attacco?
In alcuni casi, l’UFCS è riuscito a scaricare ed eseguire il codice JavaScript. Se si apre il file HTML contenente lo JavaScript dannoso, viene visualizzata una pagina web che si suppone visualizzi un file PDF: Per potervi accedere è però necessario risolvere un CAPTCHA. Se il CAPTCHA viene inserito correttamente, apparirà un link per il download.
Se si fa clic sul link di download visualizzato, il sistema scarica nuovamente un file ZIP. Questa volta, però, non contiene un altro file HTML, ma direttamente un JavaScript. L’attacco raggiunge così il parossismo: Una volta eseguito, lo script tenta di scaricare ulteriore malware da Internet e di installarlo nel sistema.
Perché un file ZIP?
Il processo descritto sopra illustra chiaramente l’abilità con cui gli aggressori lavorano per aggirare i meccanismi di protezione tecnica e ingannare deliberatamente gli utenti. L’insospettabile file HTML con l’innocua cronologia delle conversazioni viene presumibilmente utilizzato anche per ingannare i software di sicurezza installati, dando l’impressione che si tratti di un documento inoffensivo.
Nonostante la sofisticata mimetizzazione, tuttavia, esiste un importante fattore protettivo: Per prima cosa i destinatari devono aprire un file ZIP. Fortunatamente, questa estensione mette in guardia molte persone.
Allora perché gli hacker non cercano di inserire il JavaScript direttamente nell’e-mail? In questo modo potrebbero fare a meno di diversivi tramite il file ZIP e il presunto CAPTCHA apparirebbe direttamente nel messaggio stesso.
La maggior parte dei programmi di posta elettronica blocca JavaScript proprio per questo motivo, perché altrimenti sarebbe molto più facile per i malintenzionati eseguire contenuti interattivi dannosi direttamente in un’e-mail. Tuttavia, se il file HTML viene aperto localmente, si applicano le regole molto più generose del browser invece delle specifiche restrittive del client di posta elettronica. JavaScript è consentito per impostazione predefinita, perché i siti web moderni difficilmente funzionerebbero senza script.
Raccomandazioni
- Controllate attentamente i formati dei file ricevuti. Nelle transazioni commerciali, una fattura legittima viene inviata quasi esclusivamente in formato PDF. Siate estremamente sospettosi delle fatture o degli allegati che arrivano come archivi ZIP e non aprite in nessun caso i file HTML ivi contenuti.
- I truffatori spesso utilizzano estensioni di file duplicate (come «invoice.pdf.html») per ingannare gli utenti. Attivate la visualizzazione delle estensioni dei nomi dei file per impostazione predefinita nel sistema operativo (ad esempio, in Windows Explorer) per riconoscere meglio il formato effettivo.
- Se il browser web si apre dopo aver fatto clic su un allegato e richiede di scaricare un altro file o di eseguire uno script, annullate immediatamente il processo.
- Configurate il vostro sistema operativo in modo che i file JavaScript («.js») vengano aperti per impostazione predefinita con un editor di testo innocuo (come Windows Editor o il blocco note). Così se si clicca accidentalmente il codice dannoso viene visualizzato solo come testo invece di essere eseguito dal «Windows Script Host».
- Bloccate il gateway di posta elettronica dal ricevere formati di file spesso utilizzati in modo improprio per gli attacchi. Questi includono file eseguibili, ma anche archivi compressi (ZIP) che contengono script potenzialmente pericolosi (JS, VBS) o file HTML inaspettati. L’UFCS ha pubblicato su «GitHub» un elenco costantemente aggiornato delle estensioni di file potenzialmente pericolose.
- Se avete eseguito inavvertitamente un file di questo tipo, disconnettete immediatamente il dispositivo interessato dalla rete (disattivate la WLAN, scollegate il cavo di rete) per evitare che il malware si diffonda nella rete aziendale.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria: